リモートホストにインストールされている grub2 は2.06-14より前のバージョンです。したがって、ALAS2-2025-3107 のアドバイザリに記載されている複数の脆弱性の影響を受けます。

    GRUB2 ブートローダーのネットワークモジュールで、脆弱性が特定されました。これは、即座のサービス拒否DoSのリスクをもたらします。この欠陥は use-after-free の問題で、ネットワークモジュールがメモリからアンロードされたときに net_set_vlan コマンドが適切に登録解除されないために発生します。このコマンドを実行できる攻撃者が、すでに有効ではないメモリの場所にアクセスするようにシステムを強制する可能性があります。悪用に成功すると、システムが不安定になり、完全なクラッシュが発生し、システムの可用性が停止する可能性があります。CVE-2025-54770

    GRUBGrand Unified Bootloaderコンポーネントで脆弱性が特定されました。この欠陥は、USB デバイスから情報を読み取る際にブートローダーが文字列変換を誤って処理するために発生し、攻撃者が一貫性のない長さの値を悪用する可能性があります。ローカルの攻撃者が悪意のある構成の USB デバイスを起動シーケンスで接続して、この問題を発生させる可能性があります。悪用に成功するとGRUBがクラッシュし、サービス拒否が発生する可能性があります。データ破損の可能性もありますが、悪用の複雑さを考慮すると、影響は限定される可能性が高いです。CVE-2025-61661

    GRUB の gettext モジュールで、Use-After-Free の脆弱性が発見されました。この欠陥は、モジュールがアンロードされた後に gettext コマンドがメモリに登録されたままになるプログラミングエラーに起因します。攻撃者がこの状態を悪用して、orphanedコマンドを呼び出し、アプリケーションにすでに有効でなくなったメモリの場所にアクセスさせる可能性があります。攻撃者がこの脆弱性を悪用してgrubをクラッシュさせ、サービス拒否を引き起こす可能性があります。データの整合性または機密性の侵害の可能性を排除しません。CVE-2025-61662

    GRUB2 ブートローダーの通常のコマンドで、脆弱性が特定されました。これにより、即座のサービス拒否DoSのリスクが引き起こされます。この欠陥は use-after-free の問題であり、モジュールがアンロードされたときに通常のコマンドが登録解除されないために発生します。このコマンドを実行できる攻撃者が、すでに有効ではないメモリの場所にアクセスするようにシステムを強制する可能性があります。悪用に成功すると、システムが不安定になり、完全なクラッシュが発生したり、システムの可用性が停止したりする可能性があります。データの整合性と機密性への影響も無視されません。CVE-2025-61663

    GRUB2 ブートローダーにおける脆弱性が、通常のモジュールで特定されました。この欠陥、メモリ use-after-free 問題は、関連するモジュールがアンロードされたときに normal_exit コマンドが適切に登録解除されないために発生します。攻撃者がこれを悪用して、モジュールが削除された後にコマンドを呼び出し、以前に解放されたメモリの場所にシステムを不適切にアクセスさせる可能性があります。これにより、システムクラッシュや、データの機密性と整合性に影響が生じる可能性があります。CVE-2025-61664

Tenable は、前述の記述ブロックをテスト済み製品のセキュリティアドバイザリから直接抽出しています。

Nessus はこれらの問題をテストしておらず、代わりにアプリケーションが自己報告するバージョン番号にのみ依存していることに注意してください。

検出

Amazon Linux 2grub2、 --advisory ALAS2-2025-3107ALAS-2025-3107

medium Nessus プラグイン ID 281776

バージョン 1.1